Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen, einen strukturierten Risikomanagementprozess einzuführen, physische Schutzmaßnahmen umzusetzen, Sicherheitsvorfälle zu melden und die Resilienz ihrer Einrichtungen nachweisbar zu stärken. Die konkreten Pflichten richten sich nach dem jeweiligen Sektor und der Größe der Anlage. Im Folgenden beantworten wir die wichtigsten Fragen, die Verantwortliche in der Praxis bewegen.
Wen betrifft das KRITIS-Dachgesetz überhaupt?
Das KRITIS-Dachgesetz betrifft Betreiber kritischer Anlagen in elf definierten Sektoren, darunter Energie, Wasser, Transport, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung und Ernährung. Ob eine konkrete Einrichtung als kritische Anlage gilt, hängt von sektorspezifischen Schwellenwerten ab, die die Bedeutung der Anlage für die Versorgung der Bevölkerung widerspiegeln.
Das Gesetz setzt die EU-CER-Richtlinie (Critical Entities Resilience) in deutsches Recht um und konzentriert sich auf die physische Resilienz kritischer Infrastrukturen. Es ist damit klar vom Bereich der IT- und Cybersicherheit abzugrenzen, der durch NIS2 geregelt wird. Wer also wissen möchte, ob seine Einrichtung betroffen ist, muss zunächst prüfen, in welchem Sektor sie tätig ist und ob die jeweiligen Schwellenwerte überschritten werden.
Für viele Betreiber ist diese erste Einschätzung bereits eine Herausforderung. Ein hilfreicher Ausgangspunkt ist der KRITIS-Betroffenheitsrechner, mit dem Sie schnell und unkompliziert prüfen können, ob Ihre Anlage unter das Gesetz fällt.
Welche konkreten Schutzmaßnahmen müssen Betreiber umsetzen?
Betroffene Betreiber sind verpflichtet, angemessene und verhältnismäßige technische sowie organisatorische Maßnahmen zu ergreifen, um die Resilienz ihrer Anlage zu sichern. Grundlage ist ein dokumentierter Risikomanagementprozess: Risiken werden zunächst identifiziert, bewertet und mit bestehenden Schutzmaßnahmen abgeglichen, bevor neue Maßnahmen geplant werden.
Konkret können die geforderten Maßnahmen folgende Bereiche umfassen:
- Physische Zugangskontrolle und Perimeterschutz
- Videoüberwachung und stille Alarmierungssysteme
- Notfall- und Krisenmanagementpläne
- Schulung und Sensibilisierung von Mitarbeitern
- Redundante Versorgungswege und Ausweichkonzepte
- Bauliche Schutzkonzepte, auch in Bestandsgebäuden umsetzbar
Wichtig: Das Gesetz schreibt keine einheitliche Lösung vor. Die Maßnahmen müssen zum spezifischen Risikoprofil der Anlage passen. Ein Wasserwerk hat andere Gefährdungen als ein Krankenhaus oder eine Behörde. Der Risikomanagementprozess nach DIN ISO 31000 bietet hierfür einen anerkannten methodischen Rahmen, um Maßnahmen systematisch und nachvollziehbar zu entwickeln.
Was sind die Meldepflichten nach dem KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen, erhebliche Sicherheitsvorfälle, die die Erbringung ihrer kritischen Dienstleistung beeinträchtigen oder beeinträchtigen könnten, an die zuständige Behörde zu melden. Die Meldung muss unverzüglich und innerhalb definierter Fristen erfolgen.
Dabei gilt ein abgestuftes Verfahren:
- Erstmeldung: Innerhalb kurzer Zeit nach Bekanntwerden des Vorfalls, auch wenn noch nicht alle Details bekannt sind
- Folgemeldung: Mit weiteren Informationen zum Vorfall und den ergriffenen Maßnahmen
- Abschlussbericht: Nach Abschluss der Bewältigung mit einer vollständigen Analyse
Meldepflichtig sind nicht nur tatsächlich eingetretene Schäden, sondern auch erhebliche Bedrohungen und Beinahevorfälle. Betreiber sollten daher interne Meldeprozesse und Verantwortlichkeiten frühzeitig festlegen, damit im Ernstfall keine wertvolle Zeit verloren geht.
Wie hängt das KRITIS-Dachgesetz mit der EU-CER-Richtlinie zusammen?
Das KRITIS-Dachgesetz ist die deutsche Umsetzung der EU-Richtlinie über die Resilienz kritischer Einrichtungen, kurz CER-Richtlinie (Critical Entities Resilience). Die CER-Richtlinie verpflichtet alle EU-Mitgliedstaaten, nationale Regelungen zur physischen Absicherung kritischer Infrastrukturen zu schaffen. Das KRITIS-Dachgesetz erfüllt genau diese Anforderung für Deutschland.
Die CER-Richtlinie definiert einen gemeinsamen europäischen Rahmen: einheitliche Sektoren, vergleichbare Anforderungen an Risikobewertungen und Resilienzmaßnahmen sowie eine grenzüberschreitende Zusammenarbeit der Behörden. Das bedeutet für Betreiber, die in mehreren EU-Ländern tätig sind, dass die grundlegenden Anforderungen europaweit ähnlich strukturiert sind, auch wenn die nationale Umsetzung im Detail variieren kann.
Für Betreiber in Deutschland ist das KRITIS-Dachgesetz der verbindliche Rechtsrahmen. Wer die Anforderungen des Gesetzes erfüllt, handelt gleichzeitig im Einklang mit den Vorgaben der CER-Richtlinie. Die Leistungen im Bereich Risikomanagement orientieren sich an diesen europäischen und nationalen Vorgaben.
Welche Sanktionen drohen bei Verstößen gegen das Dachgesetz?
Das KRITIS-Dachgesetz sieht bei Verstößen gegen die Pflichten empfindliche Bußgelder vor. Betreiber, die Schutzmaßnahmen nicht umsetzen, Meldepflichten verletzen oder Registrierungspflichten ignorieren, können mit erheblichen Geldbußen belegt werden. Die genauen Bußgeldrahmen richten sich nach der Art und Schwere des Verstoßes.
Neben finanziellen Sanktionen drohen Betreibern auch Anordnungen der zuständigen Behörden, die zur Nachbesserung verpflichten. Im schlimmsten Fall kann die Behörde den Betrieb einer Anlage einschränken oder untersagen, wenn die Sicherheit der versorgten Bevölkerung gefährdet ist.
Für Verantwortliche ist es daher ratsam, die Umsetzung der Pflichten zu dokumentieren und nachweisbar zu gestalten. Eine lückenhafte Dokumentation kann im Rahmen von Kontrollen und Audits schnell zum Problem werden, selbst wenn die Maßnahmen in der Praxis vorhanden sind.
Wie sollten Betreiber die Umsetzung der Pflichten strukturieren?
Betreiber sollten die Umsetzung der Pflichten aus dem KRITIS-Dachgesetz in einem strukturierten Prozess angehen: zuerst die Betroffenheit prüfen, dann Risiken systematisch analysieren, bestehende Maßnahmen bewerten und anschließend fehlende Schutzmaßnahmen planen und umsetzen. Dieser Prozess bildet die Grundlage für alle weiteren Schritte.
Ein bewährter Ablauf sieht so aus:
- Betroffenheitsprüfung: Fällt die Anlage unter das KRITIS-Dachgesetz? Welche Sektorzuordnung und Schwellenwerte sind relevant?
- Registrierung: Betroffene Betreiber müssen sich bei der zuständigen Behörde registrieren.
- Risikoanalyse: Alle relevanten Gefährdungen identifizieren, bewerten und priorisieren.
- Maßnahmenplanung: Technische und organisatorische Maßnahmen auf Basis der Risikoanalyse entwickeln.
- Umsetzung und Dokumentation: Maßnahmen implementieren und nachvollziehbar dokumentieren.
- Regelmäßige Überprüfung: Den Risikomanagementprozess regelmäßig aktualisieren, da sich Gefährdungslagen verändern können.
Für Bildungseinrichtungen und öffentliche Verwaltungen, die in Bestandsgebäuden arbeiten, ist es wichtig zu wissen, dass viele Schutzmaßnahmen auch ohne vollständige Sanierung umsetzbar sind. Notfall- und Gefahrenreaktionssysteme (NGRS) lassen sich beispielsweise im laufenden Betrieb nachrüsten. Mehr Informationen dazu finden Sie unter Krisenmanagement in öffentlichen Verwaltungen.
Wie wir Betreiber bei der Umsetzung des KRITIS-Dachgesetzes unterstützen
Wir begleiten Betreiber kritischer Anlagen, Bildungseinrichtungen und öffentliche Verwaltungen bei allen Schritten der gesetzeskonformen Umsetzung. Unser Ansatz ist praxisnah, methodisch fundiert und auf Ihre konkrete Situation zugeschnitten.
Was wir für Sie tun:
- Prüfung der KRITIS-Betroffenheit mit unserem KRITIS-Betroffenheitsrechner
- Strukturierte Risikoanalyse und Gefährdungsbeurteilung nach DIN ISO 31000
- Entwicklung passender technischer und organisatorischer Schutzmaßnahmen
- Fachplanung von Notfall- und Gefahrenreaktionssystemen (NGRS), auch in Bestandsgebäuden
- Schulung von Mitarbeitern und Führungskräften im Umgang mit Notfall- und Krisenszenarien
- Begleitung bei der Dokumentation und Nachweisführung gegenüber Behörden
Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen mit und ist zertifizierter Notfall- und Krisenmanager sowie Mitglied in nationalen und internationalen Normungsausschüssen. Wenn Sie wissen möchten, ob Ihre Einrichtung betroffen ist und wie Sie die Anforderungen effizient umsetzen, nehmen Sie Kontakt auf und wir besprechen Ihre Situation in einem ersten Gespräch.
Ähnliche Artikel
- Was ist der Unterschied zwischen KRITIS-Kernbetreibern und sonstigen Betreibern?
- Wie funktioniert eine Risikoanalyse nach dem KRITIS-Dachgesetz?
- Was versteht man unter physischer Resilienz im KRITIS-Dachgesetz?
- Welche Behörden überwachen die Einhaltung des KRITIS-Dachgesetzes?
- Welche Dokumentationspflichten bringt das KRITIS-Dachgesetz mit sich?